在单个用户范例中集成多个身份、身份机制和身份提供者的方法和系统

暂无

在单个用户范例中集成多个身份、身份机制和身份提供者 \n的方法和系统\n技术领域\n[0001] 本发明一般涉及计算机和网络安全领域，尤其涉及集成计算机系统和用户的多个身份、身份机制和身份提供者。 \n背景技术\n[0002] 涉及钱财和信息的许多交易每天都利用因特网和因特网技术发生。此外，会吸引不诚实的人截取这些交易中的某一些并盗取钱财和/或信息。结果，请求无辜的、不怀疑的用户揭示诸如名字、地址、社会保障号、账号、信用卡号等个人信息，而这允许仿造者(即，设置仿造或欺诈站点的那些人)盗窃用户的身份和/或钱财。这一盗窃是一个日益增长的问题。 \n[0003] 在未来会发生越来越多的交易。当用户在线完成越来越多的交易时，其舒适水平也会提高。这可提高用户对于交易是安全和受保护的置信度。另外，这些交易可以用许多不同的网站和许多不同的用户界面来发生，使得用户难以确定向网站揭示了什么信息以及给定网站是否是合法的。 \n发明内容\n[0004] 此处所揭示的示例性实施例可包括一种用于减轻上述缺点以及其它缺点的方法和系统。此处所揭示的示例性实施例可包括用于集成多个身份和身份提供者的方法和系统，包括接收服务提供者的安全策略，确定服务提供者请求的属性，从可信属性发布者和/或身份提供者获取属性断言形式的、服务提供者所请求的经认证的属性，至少部分地基于经认证的属性向供应服务注册，以及至少部分地基于来自供应服务的注册和/或服务提供者请求的属性来访问服务提供者的服务。 \n[0005] 此处所揭示的示例性实施例可被实现为计算机进程、计算系统、基于计算机的设备或诸如计算机程序产品等制品。计算机程序产品可以是计算机系统可读，且编码了用于执行计算机进程的指令的计算机程序的计算机存储介质。计算机程序产品也可以是计算系统可读，且编码了用于执行计算机进程的指令的计算机程序的载 波上的传播信号。 [0006] 通过参考以下简述的附图以及以下示例性实施例的详细描述和所附权利要求书，可获得对本发明及其改进的更完整理解。 \n附图说明\n[0007] 图1是依照一个示例性实施例，用于集成多个身份、身份机制和身份提供者的系统的框图。 \n[0008] 图2示出了其中可实现示例性实施例的合适的计算系统环境的示例。 [0009] 图3是依照一个示例性实施例，用于集成多个身份、身份机制和身份提供者的系统的框图。 \n[0010] 图4是依照一个示例性实施例，示出在集成多个身份、身份机制和身份提供者时所涉及的操作特征的流程图。 \n[0011] 图5是依照一个示例性实施例，示出在选择或创建属性文档时所涉及的操作特征的流程图。 \n具体实施方式\n[0012] 图1是可用于依照一个示例性实施例在单个用户范例中集成多个身份、身份机制和身份提供者的系统的框图，一般在100处示出。在该实施例中，系统100包括客户机102和服务器104。客户机102可以在通信上耦合到服务器104，使得它们可交换信息。如可以理解的，大多数设备都可在各种时刻担当客户机102和服务器104。然而，为简明起见，这些功能在此分开示出。另外，客户机102可通过网络耦合到服务器104。网络可以是包括因特网的任何类型的网络，或者可以是适用于在客户机102和服务器104之间建立通信的某一其它类型的信道。 \n[0013] 系统100也可包括一个或多个属性发布者和/或身份提供者106、107，以及一个或多个信誉发布者108、109。术语属性发布者和身份提供提供者在本文档的剩余部分中可互换使用。属性发布者106可以类似地在通信上耦合到客户机102。类似地，信誉发布者\n108、109可以按类似的方式和/或配置耦合到客户机102。 \n[0014] 服务器104可包括服务提供者110，以及供应服务112。此外，服务器104可包括数据库114，它可耦合到服务提供者110以及供应服务112。 \n[0015] 客户机或客户机102的用户可访问服务提供者110。客户机102然后可接收服务提供者110的安全策略，以及接收服务提供者110请求的用于访问服务提供者 110的属性。\n客户机102然后可获得服务提供者110所请求的经认证的属性。这可通过访问属性发布者\n106来实现。属性发布者106可在发布任何属性断言之前认证客户机102的用户，使得发布者106可具有对于它们所涉及的用户的确希望发布它们的保证级别。属性发布者106可以是由服务器104信任和/或已知的第三方操作的服务，或者如果服务提供者可接受，它可以由客户机102的用户来操作。即，如果服务提供者可接受，属性可由用户来认证。 [0016] 客户机102然后可将从发布者106接收到的属性文档呈现给服务提供者110，其中该文档包括先前向客户机102所请求的属性的值。 \n[0017] 客户机102的用户也可从可由106、107表示的属性发布者之一认证的预先配置的属性组的列表中进行选择。采用这一配置，客户机102的用户可具有许多预先配置的属性组(在整篇文档中被认为是数字身份)，这些属性组可由相关联的身份提供者和/或属性发布者整体或按子集来发布。以此方式，客户机102可向服务提供者110或其它服务提供者揭示来自不同身份提供者和/或属性发布者的不同程度的标识、不同类型的信息、或不同的身份。 \n[0018] 一旦客户机102的用户选择了经认证的属性组，并从发布者106、107接收到属性文档，如果服务提供者110的安全策略需要，客户机102可将其发送到供应服务112。供应服务器112可与在网站上注册名字和口令类似地操作，使得一旦信息被提供给供应服务112，就可允许对服务提供者110的经认证的操作进行访问。供应服务112然后可在数据库114中储存该属性文档或其部分。可以理解，尽管服务提供者110和供应服务112被示为分开的，但是它们可驻留在同一服务器104和/或系统上，或在分离的服务器上。在该示例性实施例中，示出供应服务112或用于网站的注册服务可与服务器104的内容和/或服务提供者110分离。 \n[0019] 因此，一旦客户机102向供应服务112发送了属性文档，供应服务112就可授权客户机102执行由服务提供者110提供的操作。当客户机102在另一时刻返回到服务提供者\n110时，服务提供者110可访问来自数据库114的信息，该信息先前已由供应服务112储存在那里，使得客户机102无需通过再次注册的整个过程。服务提供者110能够访问数据库\n114中的信息，该信息示出客户机102先前已注册，且由此提供了足够的属性信息以允许服务提供者110允许客户机102访问其中的服务。 \n[0020] 采用该配置，客户机102的用户可更好地控制向各种实体的信息分发。此外，用户可在与服务器和相关联的网站交易时具有关于选择和发布不同的身份或不同 类型和分组的属性信息的增强的控制级别。此外，服务器和网站可具有关于向其揭示的信息的有效性的增强的保证级别。此处所揭示的示例性实施例可为使用因特网的用户提供增加的安全性，以及提高许多其它因特网交易的安全性。该提高的安全性可以尤其对web提供者和用户有用。 \n[0021] 客户机102的用户也可向信誉发布者108请求和接收关于服务提供者110的各种属性的信息。客户机102可利用一个或多个信誉发布者108来获得服务提供者110的信息、可靠性、认证等。这可向客户机102的用户提供关于服务提供者110是著名网站和/或服务提供者的提高的保证级别。这也可向用户提供更多信息，使得用户可对是否继续与服务器和/或相关联的网站交互作出更明智的决策。 \n[0022] 图2示出了其中可实现本发明的实施例的合适的计算系统环境的一个示例。该系统200表示了可用于担当上述客户机和/或服务器的系统。在其最基本的配置中，系统200通常包括至少一个处理单元202和存储器204。根据计算设备的确切配置和类型，存储器\n204可以是易失性(如RAM)、非易失性(如ROM、闪存等)或两者的某一组合。这一最基本配置在图2中由虚线206示出。另外，系统200可具有另外的特征/功能。例如，设备100也可包括另外的存储(可移动和/或不可移动)，包括但不限于，磁盘、光盘或磁带。这类另外的存储在图2中由可移动存储208和不可移动存储210示出。计算机存储介质可包括以用于储存如计算机可读指令、数据结构、程序模块或其它数据等信息的任一方法和技术实现的易失性和非易失性、可移动和不可移动介质。存储器204、可移动存储208和不可移动存储210都是计算机存储介质的示例。计算机存储介质包括但不限于，RAM、ROM、EEPROM、闪存或其它存储器技术、CD-ROM、数字多功能盘(DVD)或其它光存储、磁盒、磁带、磁盘存储或其它磁存储设备、或可以用来储存期望的信息并可由系统200访问的任一其它介质。任一这类计算机存储介质可以是系统200的一部分。 \n[0023] 系统200也包含允许该系统与其它设备进行通信的通信连接212。通信连接212是通信介质的一个示例。通信介质通常可以具体化为诸如载波或其它传输机制等已调制数据信号中的计算机可读指令、数据结构、程序模块或其它数据，并包括任一信息传送介质。\n术语“已调制数据信号”指以对信号中的信息进行编码的方式设置或改变其一个或多个特征的信号。作为示例而非局限，通信介质包括有线介质，如有线网络或直接连线连接，以及无线介质，如声学、RF、红外和其它无线介质。本发明使用的术语计算机可读介质包括存储介质和通信介质。 \n[0024] 系统100也可具有(多个)输入设备214，如键盘、鼠标、输入笔、语音输入设备、触摸输入设备等等。也可包括(多个)输出设备216，如显示器、扬声器、打印机等等。所有这些设备在本领域中都是已知的，且无需在此详细描述。 \n[0025] 诸如系统200等计算设备通常包括至少某一形式的计算机可读介质。计算机可读介质可以是可由系统200访问的任意可用介质。作为示例，而非局限，计算机可读介质可包括计算机存储介质和通信介质。 \n[0026] 图3一般在300处示出了用于集成多个身份和身份提供者的系统的示例性实施例。在该实施例中，系统300包括客户机302、服务器304以及属性发布者和/或身份提供者306。客户机302可以通过诸如网络和/或因特网等通信信道和/或所需的其它方法在通信上耦合到服务器304和属性发布者306。 \n[0027] 客户机102的用户可能希望访问服务器304的服务。一旦客户机302联系到服务器304，服务器304可请求客户机302的用户的经认证的属性，诸如名字和标识符等等。客户机302的用户然后可从包括服务器304请求的属性的属性组308的列表和/或集合中进行选择。客户机302然后可联系与属性组相关联的属性发布者306，以使属性发布者306发布要提供给服务器304的经认证的属性文档309。 \n[0028] 客户机302然后可向服务器304提供经认证的属性文档309，使得服务器304然后可允许客户机302访问由服务器304提供的操作和/或内容。属性发布者306可以是服务器304已知的预先授权的属性发布者。此外，属性发布者306可以是认证来自许多不同的客户机的信息的公知的属性发布者。 \n[0029] 属性文档309可以是具有客户机302可提供给不同的服务器304的各种程度的身份信息以及其它信息的身份或文档。当客户机302再次访问服务器304时，可向客户机302的用户显示提供给服务器304的属性文档309或从中构成文档309的属性组308。此外，客户机302可具有带有每一属性组内提供的不同信息的预先配置的属性组的集合。 [0030] 以此方式，客户机302可跟踪已经向各种服务器提供了什么属性组308以及什么信息。此外，服务器304的操作者可具有关于由客户机302提供的属性在某种程度上更真实和/或已由可信的第三方认证的提高的保证级别。此外，客户机302可保存被预先配置、预先授权和/或预先提供给各种服务器上的各种网站的属性组308的列表、集合或其它组合。 \n[0031] 客户机302也可访问信誉发布者310，后者可类似于属性发布者306操作，不同之处在于信誉发布者310可包括各种服务器304和相关联网站的信息，使得客户 机302可具有关于服务器304提供的身份和/或其它信息是真实和/或可靠的某种保证级别。采用这一系统，客户机302可以按互认证的方式更好地控制向各种网站和/或服务器的属性和/或身份信息分发。此外，服务器可具有关于客户机302提供的信息是经认证和/或可靠的更高的保证级别。而且，客户机302可利用信誉发布者310来获得关于各种服务器的更多信息，使得它们可具有关于由服务器提供的信息的提高的保证级别。 \n[0032] 图4是一般在400处示出用于集成多个身份和身份提供者的方法的一个示例性实施例的流程图。方法400包括接收操作402。接收操作402包括从服务器或其它实体接收安全策略和所请求的属性。安全策略可要求访问服务器的客户机提供属性或其它信息以获取对服务器的内容和/或服务的访问。控制然后被传递到评估操作403。 [0033] 评估操作403涉及评估服务提供者的身份和真实性，以决定向其发布用户身份和/或其它属性信息以及与其进一步交互是否是安全的。它可包括客户机向可信的信誉发布者(它可以与属性发布者类似地操作)请求和获得关于服务的信誉信息，使得客户机可具有关于服务或网站是真实和/或可靠的某种保证级别。控制然后被传递到确定操作404。 [0034] 确定操作404可包括评估由服务器请求的属性或信息。一旦属性被确定，可向用户显示包含所请求的信息以及满足其它准则(如果指定)的所有预先配置的属性组。用户然后选择在访问服务器时使用的属性组。或者，如果没有具有所请求的信息的属性组，则用户可创建一个新的组。控制然后被传递到获取操作405。 \n[0035] 获取操作405可包括客户机系统联系相关联的身份或属性提供者，以获取经认证的属性文档。此外，如果服务器允许，客户机可自己认证属性。控制然后传递到注册操作\n406。 \n[0036] 注册操作406包括利用属性文档来向供应服务提供经认证的、所请求的信息。供应服务也可在可由内容服务器访问的数据库中储存属性信息，使得当客户机再次请求对服务器的访问时，服务器可访问该信息，使得客户机将不再需要注册。控制然后传递到访问操作408。 \n[0037] 访问操作408包括如果属性文档包括所请求的属性，则供应服务然后可向内容服务器提供该信息，以允许客户机访问服务器。当客户机再次请求对服务器的访问时，服务器可访问该信息，使得客户机不再需要注册。 \n[0038] 图5是一般在500处示出依照一个示例性实施例用于获得属性文档以向服务 器揭示的方法的流程图。依照示例性实施例的各方面，方法500的处理以接收操作502开始。\n接收操作502包括如上所述从服务器接收对属性的请求。接收操作502可分析所请求的信息，以确定服务器所请求的信息。控制然后传递到查询操作504。 \n[0039] 查询操作504包括确定客户机是否具有包含所请求的信息的任何预先配置的属性组。如果客户机的确具有带有所请求的属性的一个或多个预先配置的属性组，则属性组可连同相关联的值一起呈现给用户，使得用户可选择预先配置的属性组用于揭示(506)。客户机然后可向该第三方请求并获得新认证的属性文档，或者在某些情况下，如果存在高速缓存的副本，则可使用该副本。 \n[0040] 用户也可选择创建包括所请求的信息的新的属性组(508)。如果没有找到具有所请求的信息的预先配置的属性文档，则用户可创建具有所请求的信息的新的属性组(508)。\n一旦选择并向身份或属性发布者呈现了属性组以获得属性文档，控制传递到注册操作510。 [0041] 注册操作510可包括向供应服务发送属性文档。如果属性文档中的信息包括所请求的属性，则供应服务可在内容服务器可访问的位置中储存该信息。内容服务器然后访问该信息，以允许客户机访问服务器的内容或服务。此外，该信息可被储存在允许内容服务器在客户机每次随后访问服务器时访问该信息的位置中，以允许客户机访问由服务器提供的内容和/或服务。 \n[0042] 示例性实施例的各种实施例的逻辑操作可以被实现为(1)运行在计算系统上的计算机实现的动作或程序模块的序列，和/或(2)计算系统内互连的机器逻辑电路或电路模块。实现是取决于实现本发明的计算系统的性能要求的选择问题。因此，构成此处所描述的示例性实施例的各实施例的逻辑操作被不同地称为操作、结构设备、动作或模块。本领域的技术人员可以认识到，这些操作、结构设备、动作和模块可以用软件、固件、专用数字逻辑和/或其任何组合来实现，而不脱离所附权利要求书中所述的本发明的精神和范围。 [0043] 尽管示例性实施例是以对计算机结构特征、方法动作专用的语言且按照计算机可读介质来描述的，然而可以理解，所附权利要求书中定义的示例性实施例不必限于所描述的具体结构、动作或介质。作为一个示例，可使用与XML不同的格式来对标识信息进行编码。因此，这些具体结构特征、动作和介质是作为实现要求保护的本发明的示例性实施例来揭示的。 \n[0044] 上述各种实施例是仅作为说明来提供的，且不应被解释为限制本发明。本领域的技术人员可以认识到，可以对本发明作出各种修改和改变，而不脱离此处所示 和描述的示例性实施例和应用，且不脱离所附权利要求书中所述的本发明的真实精神和范围。